NXDOMAIN explicado: por qué un dominio no se resuelve

NXDOMAIN («dominio inexistente») es una de las respuestas más claras que puede darte el DNS. No significa que un servidor haya agotado el tiempo de espera ni que algo esté mal configurado más arriba. Significa que se preguntó a un servidor de nombres autoritativo por un nombre y este declaró sin ambigüedad que ese nombre no existe en su zona. Es una respuesta negativa definitiva, no un error en el sentido habitual.

Las causas reales más habituales

• Una errata en el dominio: exmaple.com en lugar de example.com es un nombre distinto (y probablemente sin registrar) en lo que al DNS respecta.
• El registro del dominio caducó y nunca se renovó.
• El subdominio concreto consultado nunca se creó: el dominio raíz se resuelve bien, pero api.example.com nunca recibió su propio registro.
• Un registro se eliminó o se renombró durante una migración y no se puso nada en su lugar.

Por qué reintentar no sirve de nada

Un tiempo de espera agotado de DNS o un SERVFAIL pueden ser transitorios (un servidor estuvo sobrecargado un instante, una ruta de red tuvo un problema momentáneo) y reintentar un momento después suele ser justo lo que hay que hacer. NXDOMAIN es distinto: es una afirmación directa y autoritativa de que el nombre no está registrado. Reintentar la misma consulta producirá la misma respuesta, porque nada del registro subyacente ha cambiado. Precisamente por eso una herramienta de consulta bien construida trata NXDOMAIN como un fallo permanente y falla de inmediato, en lugar de gastar reintentos y tiempo en una consulta que nunca iba a tener éxito.

Un matiz que conviene conocer: NXDOMAIN se aplica al nombre completo, no a un tipo de registro concreto. Si un dominio tiene un registro A pero ningún registro AAAA, la consulta AAAA no devuelve NXDOMAIN: devuelve una respuesta correcta con un conjunto de respuestas vacío (a veces mostrado como NODATA). NXDOMAIN significa específicamente que el propio nombre no tiene registros de ningún tipo.

Cuando un NXDOMAIN no es realmente un NXDOMAIN

Algunos ISP y redes wifi públicas interceptan en silencio las respuestas NXDOMAIN genuinas y las sustituyen por las suyas, redirigiendo un dominio mal escrito o sin registrar a una página de búsqueda llena de anuncios en lugar de devolver honestamente «esto no existe». Es una práctica real, no un mito, y es justo el tipo de cosa que mina la confianza en una respuesta DNS: un resolvedor que hace esto no miente sobre un dominio que sí existe, pero esconde el verdadero NXDOMAIN tras un resultado fabricado y monetizado. Consultar directamente un resolvedor público neutral y bien conocido, que no tenga ningún motivo comercial para redirigir un callejón sin salida, evita esto por completo y te da la respuesta real del servidor autoritativo.

NXDOMAIN en un dominio que sabes que está registrado

La versión más desconcertante es ver NXDOMAIN en un dominio que sabes que está registrado y que funcionaba hace poco. Además de las causas directas mencionadas arriba, esto puede ocurrir cuando un dominio cambia de registrador y entra brevemente en un estado en el que la delegación de sus servidores de nombres está incompleta, cuando un error de firma DNSSEC hace que un resolvedor validador trate como inexistente una zona por lo demás válida o, en raras ocasiones pero conviene saberlo, cuando el registrador ha suspendido el dominio por un problema de términos de servicio o de abuso, lo que desde fuera puede presentarse igual que un registro caducado. Ninguna de estas situaciones se arregla con un reintento; todas exigen comprobar directamente el estado del registro y de la delegación, normalmente a través del panel del propio registrador o de una consulta WHOIS, y no mediante nada que el DNS pueda revelar por sí mismo.